Bitquery связала потерю пользователем Aave 305 000 долларов со взломом сайта Across Protocol

Расследование Bitquery показало, что вкладчик Aave потерял около 305 000 долларов в токенах депозита во время захвата сайта Across Protocol 10 ноября. Bitquery связала потерю с разрешениями на расходование средств, полученными через скомпрометированный интерфейс, который открыл доступ к кредитной позиции за пределами кросс-чейн-моста. В обновленной 12 ноября оценке Bitquery указала, что из девяти кошельков в пяти блокчейнах было похищено в общей сложности 401 900 долларов; стоимость активов оценивалась на момент краж. На вкладчика Aave пришлось около 76 % выявленных таким образом потерь. В обновленную оценку включили перевод эфира, который не попал в первоначальное расследование.

Across Protocol заявила, что захват домена 10 ноября стал возможен из-за социальной инженерии с использованием Namecheap, регистратора домена протокола. Крупнейший из пострадавших кошельков потерял aWETH — токен, приносящий проценты и представляющий депозит в Aave. В документации Aave говорится, что токены депозита можно передавать, а другой аккаунт может получить разрешение на расходование средств с помощью подписанного разрешения. Bitquery восстановила последовательность событий: мошеннический сайт получил такое разрешение, после чего злоумышленник использовал его для перевода токенов вкладчика.

В первой транзакции перевода от 10 ноября было зафиксировано неограниченное разрешение на расходование средств, после чего около 115,23 aWETH перевели на один кошелек, а 28,81 aWETH — на другой. Bitquery определила первый адрес как кошелек злоумышленника, а второй — как кошелек для комиссий дрейнера; такое распределение соответствует пропорции 80/20. В истории транзакций вкладчика зафиксированы четыре вывода средств, последний из которых произошел через три минуты после первого. По словам Bitquery, владелец отменил разрешение через минуту после последнего вывода — слишком поздно, чтобы предотвратить переводы.

В обновление Bitquery от 12 ноября добавили отдельную кражу 26,38 ETH у другой жертвы; на момент кражи эта сумма оценивалась примерно в 54 000 долларов. Записи транзакций в Ethereum датируют перевод ETH 10 ноября. Bitquery заявила, что широко распространенная оценка ущерба в 294 000 долларов соответствовала средствам на кошельке для комиссий, включая деньги, полученные до атаки на Across. Bitquery связала вывод средств с Across, сопоставив время транзакций и адреса получателей. Однако Bitquery признала, что данные блокчейна не позволяют установить, какой именно сайт посетила жертва.

11 ноября Across Protocol сообщила, что протокол восстановил контроль над доменом. Across Protocol пообещала полностью возместить потери пострадавшим пользователям и опубликовать отчет по итогам инцидента.